Каталог Поиск 0 Сравнить 0 Закладки 0 Корзина Войти
Каталог
105082, Москва, ул. Фридриха Энгельса, 75с21, БЦ Бауманский ИТКОЛ
Пн - Пт: с 09-00 до 18-00 Сб: с 10-00 до 18-00 Вс: выходной
Страницы: 1
RSS
Один принтер, несколько VLAN, UniFi Network
 
Только что настроил свою первую VLAN — очевидно, я новичок. Уже нашёл следующую проблему, которую нужно решить. У меня есть один принтер в одной VLAN, и мне нужна вторая, а может, и третья VLAN, чтобы иметь возможность печатать на нём. Как такое обычно делается? Для этого используют «Static Route»? Как это должно выглядеть? Кстати, пока я это пишу, на форуме постоянно появляется и исчезает баннер с надписью: Authentication Failed. Authentication Ticket Mismatched, failed authentication.
 
Извините. Я сделал поиск, и эта тема вышла первой, так что просто ответил в ней. По ошибке подумал, что так будет лучше — поддерживать порядок, чем создавать новые, но очень похожие темы?
 
Преимущества сегментации сети  
Безопасность  
Производительность сети  
Контроль доступа посетителей/гостей  

Большое спасибо!
 
@kevinpw Конечно, сеть /24 почти никогда не вызывает проблем. Даже /23, скорее всего, подойдет. Многое зависит от оборудования на стороне сервера, ведь некоторые коммутаторы способны обрабатывать намного больше пакетов без подвисаний, чем ваш 100-долларовый 8-портовый коммутатор. Жёстких правил нет, но ты спросил почему.

Субнетирование и преимущества сегментации сети  
Я не собираюсь углубляться в субнетирование, так как ресурсов по этой теме хватает. Но… полезно иметь базовое представление о сети при настройке DHCP-скопов.  
Не стоит делать один большой DHCP-пул на все устройства, лучше сегментировать устройства в отдельные сети. Конечно, это зависит от размера вашей сети: если сеть маленькая, сегментация не так важна.

Преимущества сегментации сети

Безопасность  
Разделяя устройства по сетям, вы получаете лучший контроль над сетью. Например, принтерам действительно нужен доступ в интернет? Вряд ли. Компьютерам в финансовом отделе нужно напрямую общаться с компьютерами HR? Абсолютно нет. Разделяя устройства на отдельные сети, вы гораздо лучше контролируете доступ.  
Ограничение внутри сетевого перемещения может значительно замедлить действия злоумышленников и вирусов. Поэтому важно включать фаерволы или списки контроля доступа на уровне сети, чтобы ограничить lateral movement в сети.

Производительность сети  
Если всё свалить в одну большую сеть, получится огромная широковещательная домена. Из-за этого могут возникнуть разные проблемы: зацикливание spanning tree, широковещательные и мультикастовые «шторма». Сегментируя сеть, вы разбиваете эти домены и снижаете вероятность проблем с производительностью.

Контроль доступа посетителей/гостей  
Не хочется, чтобы гостевая сеть имела доступ к вашей защищённой сети. Выделяя гостевой трафик в отдельную сеть, вы можете фильтровать такой трафик и блокировать доступ к внутренним ресурсам.  
Я также использую гостевую сеть для IoT-устройств, которым просто нужен интернет.

Вот пример, как я сегментирую трафик:  
Компьютеры = 10.2.10.0/24 VLAN 110  
Принтеры = 10.2.8.0/24 VLAN 108  
Голос = 10.2.6.0/24 VLAN 106  
Видеонаблюдение = 10.2.4.0/24 VLAN 104  
Серверы = 10.2.2.0/24 VLAN 102  
Гости = 10.16.0.0/23 VLAN 116

Кроме сегментации, старайтесь делать IP-схему простой — это реально облегчает управление DHCP-скопами.
 
Спасибо, я не знал, что существует ограничение на количество L2 MAC-адресов, которые устройство может обрабатывать. Я думал, что современные устройства могут работать минимум с 255 устройствами, нет?
 
@kevinpw Масштаб области широковещания может быть одной из главных причин для сегментации сетей в локальной сети. Когда количество MAC-адресов второго уровня становится слишком большим, появляются проблемы с широковещательными штормами. Похожая ситуация, хоть и по другой причине, может возникнуть, если добавить слишком много SSID на одну точку доступа. В этом случае объем служебного трафика превышает трафик данных клиентов, и сеть начинает работать с задержками. Создание слишком большой области широковещания в проводной сети приводит к тому же.
 
Потому что, возможно, вам стоит начать с более простой разграничения прав, чтобы достичь своих целей? Затем создайте блокирующие правила. Назначение VLAN в статус «Гость» означает старт с более ограниченных прав, после чего создаются правила разрешений. Такой же принцип, как с белыми и черными списками. К тому же лучше начать новую тему с такого общего вопроса, чем оживлять обсуждение, которому несколько лет.
 
Если по умолчанию корпоративные VLAN могут свободно общаться друг с другом, будто находятся в одной подсети, то какой тогда смысл создавать несколько VLAN?
Страницы: 1
Читают тему (гостей: 1)